DriveSurge-malwarekampagnen har kapret tusindvis af legitime websites for at sprede malware gennem ClickFix- og FakeUpdate-angreb. Sikkerhedsforskere opdagede, at angribere kompromitterede betroede websites og i hemmelighed omdirigerede besøgende til ondsindede sider designet til at inficere systemer med malware.
Operationen byggede primært på social engineering frem for traditionelle softwareudnyttelser. Ofrene blev mødt af falske browserfejl, verifikationsmeddelelser og falske opdateringssider, som narrede brugerne til at køre skadelige kommandoer eller downloade malware.
Forskerne mener, at kampagnen opererede i stor skala og målrettede internetbrugere på tværs af flere regioner.
Kompromitterede websites omdirigerede besøgende
Forskerne opdagede, at angriberne injicerede skadelige scripts på tusindvis af kompromitterede websites. De inficerede sider omdirigerede i hemmelighed udvalgte besøgende til angriberkontrolleret infrastruktur uden straks at advare websiteejerne.
Kampagnen brugte trafikfiltreringssystemer til at afgøre, hvilke brugere der skulle modtage skadelige omdirigeringer. Nogle besøgende fortsatte med at se normalt websiteindhold, mens andre blev sendt videre til sider, der distribuerede malware.
Den selektive målretning hjalp operationen med at forblive skjult i længere perioder. Websiteadministratorer har derfor muligvis ikke opdaget kompromitteringen, fordi den skadelige adfærd ikke blev vist for alle besøgende.
Forskerne beskrev infrastrukturen som stærkt automatiseret og i stand til at håndtere store mængder webtrafik samtidigt.
ClickFix-angreb byggede på social engineering
Kampagnen misbrugte i høj grad ClickFix-teknikker, som bygger på brugerinteraktion frem for direkte udnyttelse af sårbarheder.
Ofrene blev mødt af falske CAPTCHA-sider, browseradvarsler eller tekniske verifikationsmeddelelser. Disse sider instruerede brugere i at kopiere og indsætte kommandoer i Windows Kør-dialogen eller PowerShell-konsollen.
Når kommandoerne blev udført, downloadede systemet malware til offerets enhed.
Forskerne advarede om, at ClickFix-angreb fortsætter med at vokse, fordi de omgår mange traditionelle sikkerhedsbeskyttelser. I stedet for at udnytte softwarefejl manipulerer angriberne brugerne til selv at inficere deres systemer.
Metoden gør også opdagelse vanskeligere, fordi aktiviteten ofte ligner normal brugeradfærd.
FakeUpdate-sider efterlignede ægte opdateringer
Angriberne brugte også FakeUpdate-teknikker gennem hele kampagnen. Ofrene så realistiske opdateringsmeddelelser, som udgav sig for at komme fra browsere, Windows-systemer eller populære programmer.
De falske advarsler opfordrede brugerne til at installere påståede sikkerhedsopdateringer eller browserrettelser. I stedet for legitim software indeholdt downloadene malware, som kunne stjæle data eller give angriberne fjernadgang.
FakeUpdate-kampagner er blevet stadig mere populære, fordi mange brugere automatisk stoler på opdateringsmeddelelser. Veludførte falske beskeder kan ligne ægte systemadvarsler meget tæt.
Forskerne bemærkede, at angrebene i høj grad udnytter stress og frygt for at presse brugerne til at handle hurtigt.
Forskere kobler kampagnen til større malwareoperationer
Sikkerhedsanalytikere, der følger kampagnen, mener, at operatørerne kan fungere som såkaldte Initial Access Brokers. Disse grupper specialiserer sig i at kompromittere systemer og derefter sælge adgangen videre til andre cyberkriminelle organisationer.
I stedet for selv at distribuere ransomware fokuserer access brokers på at skabe store mængder infektioner, som andre angribere senere kan udnytte.
Forskerne observerede tegn på, at kampagnen muligvis understøtter pay-per-install-operationer, hvor malwareoperatører betaler for hver succesfuld infektion leveret gennem netværket af kompromitterede websites.
Strukturen viser, hvordan moderne cyberkriminalitet i stigende grad fungerer som et forretningsøkosystem med specialiserede roller.
Websiteejere bør gennemgå sikkerheden
Sikkerhedseksperter anbefaler, at websiteadministratorer undersøger deres systemer for injicerede scripts, mistænkelige omdirigeringer og uautoriserede filændringer. Organisationer bør også holde CMS-platforme, plugins og serversoftware opdateret for at reducere risikoen for kompromittering.
Stærke administratoradgangskoder og multifaktorgodkendelse er fortsat vigtige beskyttelser mod kaprede websites.
Forskerne opfordrer også internetbrugere til at være forsigtige, når websites pludselig viser uventede verifikationsmeddelelser, opdateringskrav eller instruktioner, der involverer PowerShell eller kommandokørsel.
Legitime websites og ægte softwareopdateringer kræver sjældent, at brugere manuelt indsætter kommandoer i systemkonsoller.
Konklusion
DriveSurge-malwarekampagnen viser, hvordan angribere fortsætter med at misbruge legitime websites til at distribuere malware i stor skala. Ved at kompromittere betroede websites og omdirigere besøgende til ClickFix- og FakeUpdate-sider skabte operatørerne et effektivt netværk til malwaredistribution baseret på social engineering.
Kampagnen viser også, hvordan cyberkriminelle i stigende grad bevæger sig væk fra traditionelle udnyttelser og i stedet fokuserer på at manipulere brugeradfærd. Efterhånden som disse teknikker fortsætter med at sprede sig, bør både organisationer og almindelige brugere være forsigtige med uventede opdateringsmeddelelser, CAPTCHA-anmodninger og browseradvarsler online.
0 svar til “DriveSurge-malwarekampagnen kaprer tusindvis af websites”